از HealthKick تا GOVERSHELL: تکامل بدافزار جاسوسی UTA0388

یک گروه تهدید مرتبط با چین با نام رمزی UTA0388 مسئول سری‌ای از حملات فیشینگ هدفمند (spear-phishing) علیه آمریکای شمالی، آسیا و اروپا شناسایی شده که هدف آن‌ها نصب بدافزار GOVERSHELL است. بر اساس گزارش شرکت Volexity، این گروه از هویت‌های جعلی محققان و تحلیلگران ارشد سازمان‌های ساختگی استفاده می‌کند و از تکنیک “فیشینگ ایجاد اعتماد” (rapport-building phishing) بهره می‌برد که در آن مهاجمان ابتدا با قربانیان ارتباط برقرار کرده و اعتماد آن‌ها را جلب می‌کنند. این حملات به زبان‌های مختلف انگلیسی، چینی، ژاپنی، فرانسوی و آلمانی انجام شده و از سرویس‌های مشروع مانند Netlify، Sync و OneDrive برای میزبانی فایل‌های مخرب استفاده می‌کند.

نکته قابل توجه این است که UTA0388 از هوش مصنوعی ChatGPT برای تولید محتوای فیشینگ و کمک به جریان‌های کاری مخرب استفاده کرده که حساب‌های مربوطه توسط OpenAI مسدود شده‌اند. این گروه پنج نسخه مختلف از بدافزار GOVERSHELL را توسعه داده که از طریق تکنیک DLL side-loading نصب می‌شود و قابلیت‌های مختلفی از اجرای دستورات PowerShell تا ارتباط با سرورهای کنترل از راه دور دارد. Volexity با اطمینان متوسط اعلام کرده که هدف اصلی این حملات مسائل ژئوپلیتیک آسیا با تمرکز ویژه بر تایوان است و گروه از ابزارهای خودکارسازی و مدل‌های زبانی بزرگ (LLM) برای تولید و ارسال محتوا بدون نظارت انسانی استفاده می‌کند.